De la Las Vegas la Sydney până la infrastructurile publice din România, atacatorii exploatează naivitatea unor cetățeni, dar și ignoranța în securitate cibernetică a angajaților cu diplome de cybersecurity în buzunar.
În rapoartele sale de guvernanță și conformitate, SANS Institute arată că organizațiile care aplică un program obligatoriu de conformitate (compliance-driven training) raportează în medie o rată de finalizare de 90%–95% a cursurilor anuale de instruire. Raportul Anual privind Conștientizarea și Riscul Uman (SANS Security Awareness Report – https://www.sans.org/for-organizations/workforce/resources/security-awareness-report) subliniază că o rată de participare/finalizare de peste 95% măsoară doar satisfacerea cerințelor de audit (compliance), fără a garanta însă o reducere a riscului comportamental sau o cultură de securitate activă.
La rândul său, Analiza Nordic Governance, Risk and Compliance Research (NorthGRC), “Why 95% Training Completion Isn’t the Same as 95% Security”, realizată pe un eșantion corporative reprezentativ arată că, deși tabelele de bord ale CISO/CA relevă o finalizare de 95% a programelor anuale de e-learning, peste 25% dintre angajații instruiți recunosc că modulul nu le-a schimbat deloc comportamentul real la birou atunci când sunt supuși presiunii unui apel de urgență. (https://www.northgrc.com/blog/security-awareness-training-myth).
În acest ocean al indicatorilor formali de performanță (KPIs) îndepliniți și realitatea comportamentală se ascunde o mare eroare de guvernanță corporativă a ultimilor ani — repetată în sectoare extrem de diverse, de la instituții publice (după cum recent s-a văzut în România, în cazul a două instituții publice) până la mari firme internaționale: un program de cybersecurity bifat nu înseamnă automat o pregătire impecabilă în fața atacurilor cyber. Vestea cea mai rea posibilă, care ar trebui să dea de gândit tuturor, este că acesta este doar începutul, iar numărul, anvergura și consecințele acestor atacuri cibernetice vor crește exponential în viitorul foarte apropiat.
Un modul parcurs cu succes nu înseamnă un atac respins cu succes
Lumea corporativă a investit miliarde de dolari în platforme de Learning Management System (LMS) și module automate de simulare a phishing-ului pe e-mail, însă rezultatele arată că modelul tradițional este depășit de realitatea operațională. Datele oficiale confirmă că instruirea bifată pro-forma oferă o falsă senzație de siguranță. Cel mai recent raport de referință Verizon Data Breach Investigations Report (DBIR 2026) [Sursa: Verizon DBIR 2026], fundamentat pe analiza a peste 22.000 de incidente confirmate în 145 de țări, relevă că elementul uman este prezent în 62% dintre breșe — o cifră care a rămas practic stagnantă în ultimele trei ediții ale raportului, în pofida bugetelor masive direcționate spre platformele de instruire.
Aproape jumătate (41%) dintre breșele de inginerie socială folosesc astăzi alți vectori decât e-mailul (Verizon DBIR 2026), iar atacurile derulate prin voce (vishing) înregistrează o rată de succes cu 40% mai ridicată decât cele efectuate prin mesaje scrise pe e-mail sau SMS. Gigantul de divertisment MGM Resorts International a devenit deja studiu de caz obligatoriu în programele de MBA și securitate cibernetică: un simplu apel telefonic către helpdesk, o identitate împrumutată de pe rețeaua LinkedIn și zece zile de sisteme complet blocate în cazinourile din Las Vegas, cu daune financiare ce au depășit 100 de milioane de dolari [Sursa: Netwrix / SEC Filing Analysis].
Tiparul nu a rămas un caz izolat, un alt exemplu fiind Qantas Airways (2025): În vara anului trecut, compania aeriană australiană Qantas a confirmat un incident aproape identic: un angajat al unui centru de contact externalizat (call center) din Manila a fost manipulat prin telefon să ocolească autentificarea multifactor (MFA). Atacul, atribuit de comunitatea de intelligence grupării infracționale Scattered Spider (UNC3944), a dus la compromiterea datelor personale a circa șase milioane de clienți [Sursa: KBI Media Report]. Aceeași grupare este responsabilă de atacuri similare la Clorox, Marks & Spencer și mari operatori aerieni din America de Nord.
Raportul strategic Mandiant M-Trends 2026 (Google Cloud), construit pe mai mult de 500.000 de ore de investigații derulate direct în teren în 2025, plasează atacurile prin voce (vishing) pe locul al doilea global ca vector de acces inițial (11% din intruziuni) și pe primul loc în mediile cloud. În același timp, phishing-ul clasic prin e-mail a coborât de la 14% din intruziuni în 2024 la doar 6% în 2025. Motivul acestei reorientări: o simulare de phishing pe e-mail este adesea oprită de filtre tehnice sau detectată automat, pe când o conversație telefonică purtată sub presiunea unei urgențe simulate testează direct reflexele umane (panică, reacție rapidă necontrolată etc.) pe care niciun algoritm anti-spam nu le poate bloca.
România
Directoratul Național de Securitate Cibernetică (DNSC) a raportat pentru 2024 o creștere de 40,2% a fraudelor informatice și de 286,8% a atacurilor malware față de anul anterior, într-un context în care legislația — Legea 58/2023, apoi transpunerea NIS2 prin OUG 155/2024 și Legea 124/2025 — a impus pentru prima dată obligații explicite de management al riscului pentru entitățile esențiale și importante, cu înregistrare directă la DNSC.
Cadrul legal s-a maturizat considerabil însă rămâne greu de reglementat comportamentul uman din spatele lui. La nivelul angajaților individuali, tiparul global se regăsește fidel și local: campanii recente semnalate de industrie descriu recrutori de HR păcăliți prin avatare generate cu inteligență artificială în interviuri video, tocmai pentru că, prin natura rolului, sunt antrenați să fie deschiși și cooperanți cu un candidat necunoscut. Pierderile cauzate de fraude digitale asupra cetățenilor și companiilor din România se estimează la peste 185 de milioane de euro, potrivit unor campanii de conștientizare derulate cu sprijinul autorităților.
Pentru cine, când și cum sunt realizate trainingurile în materie de securitate cibernetică? Rolurile cu cea mai mare expunere sunt cele care, prin natura muncii, trebuie să fie receptive — help desk, recrutare, contabilitate și trezorerie, asistenți de conducere — plus personalul furnizorilor externalizați. Când? Mai ales în momentele de tranziție — integrări de sisteme noi, fuziuni, perioade de vârf operațional — când o cerere neobișnuită pare, dintr-odată, plauzibilă. Cum? Prin exerciții realiste și practice, pe toate canalele, inclusiv telefon, prin protocoale de verificare în afara canalului (callback pe un număr pre-înregistrat, nu pe cel primit în apel) aplicate consecvent.
”Reglementările NIS2 și DORA au adus un beneficiu real, prin faptul că au instituit raportarea obligatorie a incidentelor, și creează, pentru prima dată, un istoric verificabil. Dar un raport de conformitate depus la termen nu spune nimic despre ce va face un angajat concret atunci când telefonul sună și cineva, foarte convingător, pretinde că are nevoie de ajutor imediat. Acolo se decide, de fapt, dacă o organizație rezistă sau ajunge în comunicatul de presă al săptămânii următoare”, este de părere Cristiana Deca, expert în guvernanță cibernetică CEO&cofondator Decalex. Trendul viitorului impune trei reconfigurări fundamentale în guvernanța companiilor, adaugă aceasta, astfel: necesitatea trecerii de la simpla conștientizare la o adevărată arhitectură rezistentă la eroare, implementarea Autentificării Continue (Continuous Identity Verification) și instituirea unei culture organizaționale de securitate bazată pe „Zero Penalty Reporting”, fără de care rezistența în fața atacurilor va fi aproape în totalitate anulată. ( Analiză Strategy & Risk de Cristiana Deca, CEO&cofondator Decalex pentru Ziarul Financiar)
